Was ist DSGVO-konforme Postverwaltung?

DSGVO-konforme Postverwaltung bezeichnet die Annahme, Öffnung, Digitalisierung, Weiterleitung und Aufbewahrung von Geschäftspost unter Beachtung der Datenschutz-Grundverordnung. Sie ist besonders relevant, wenn ein externer Dienstleister eingehende Briefe für ein Unternehmen entgegennimmt, scannt und digital bereitstellt. Denn Geschäftspost kann personenbezogene Daten enthalten, etwa Namen, Kontaktdaten, Vertragsunterlagen, Zahlungsinformationen oder Angaben zu Beschäftigten und Kunden.

Eine datenschutzgerechte Organisation stellt sicher, dass solche Daten nur für festgelegte Zwecke verarbeitet werden, nur berechtigte Personen Zugriff erhalten und geeignete Schutzmaßnahmen dokumentiert sind. Die Anforderungen betreffen dabei nicht allein den Scanvorgang, sondern den gesamten Weg vom Briefkasten bis zur digitalen Bereitstellung.

Welche Vorgänge gehören zur Postverwaltung?

Bei einer digitalen Postverwaltung können mehrere Verarbeitungsschritte zusammenkommen. Dazu zählen die Postannahme an einer Geschäftsadresse, die Sortierung, die gegebenenfalls beauftragte Öffnung, das Scannen der Dokumente, die Speicherung in einem geschützten System sowie die digitale Bereitstellung oder Weiterleitung an berechtigte Empfänger.

Jeder dieser Schritte sollte organisatorisch klar geregelt sein. Besonders die Öffnung von Briefen erfordert eine eindeutige Weisung des Unternehmens. Nicht jede Sendung darf ohne Weiteres geöffnet oder digitalisiert werden. Für bestimmte Briefarten, vertrauliche Korrespondenz oder eindeutig persönlich adressierte Sendungen können abweichende interne Regeln sinnvoll sein.

Welche Rolle hat ein externer Dienstleister?

Verarbeitet ein Dienstleister Post im Auftrag eines Unternehmens und handelt dabei nach dessen Weisungen, liegt regelmäßig eine Auftragsverarbeitung vor. In diesem Fall kann ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich sein. Dieser regelt unter anderem Gegenstand und Dauer der Verarbeitung, die Art der Daten, die Weisungsrechte des Unternehmens sowie die Pflichten des Dienstleisters.

Das Unternehmen bleibt in einer solchen Konstellation grundsätzlich dafür verantwortlich, die Verarbeitung rechtmäßig zu organisieren und den Dienstleister sorgfältig auszuwählen. Der Dienstleister muss seinerseits geeignete technische und organisatorische Maßnahmen umsetzen und die Daten nur im vereinbarten Rahmen verarbeiten.

Welche Schutzmaßnahmen sind bei digitaler Geschäftspost wichtig?

Die DSGVO verlangt keine einheitliche technische Lösung für alle Unternehmen. Welche Maßnahmen erforderlich sind, hängt unter anderem von Art, Umfang und Sensibilität der verarbeiteten Post ab. Für die praktische Postverwaltung sind insbesondere folgende Punkte relevant:

• klare Regelungen, welche Sendungen geöffnet, gescannt oder weitergeleitet werden dürfen,
• rollenbasierte Zugriffsrechte für Geschäftsführer, Mitarbeitende oder externe Berater,
• geschützte Übertragungswege und Zugangssicherung für digitale Dokumente,
• Protokollierung und nachvollziehbare Verwaltung von Berechtigungen,
• Regeln zur Löschung, Rückgabe oder Aufbewahrung von Scans und Originalen,
• dokumentierte technische und organisatorische Maßnahmen.

Der Grundsatz der Datenminimierung bedeutet dabei, dass nur die Daten und Zugriffsrechte verarbeitet werden sollten, die für die Postbearbeitung tatsächlich erforderlich sind. Zweckbindung verlangt, dass die Daten nicht für andere, nicht vereinbarte Zwecke verwendet werden.

Abgrenzung: Postweiterleitung, Scan-Service und digitale Postverwaltung

Was sollten Unternehmen vor der Beauftragung prüfen?

Vor der Nutzung eines externen Postdienstes sollten Unternehmen prüfen, welche Postarten anfallen, wer sie einsehen darf und ob die vorgesehene Verarbeitung als Auftragsverarbeitung einzuordnen ist. Ebenso wichtig sind transparente Regelungen zu Unterauftragnehmern, Speicherorten, Zugriffswegen, Sicherheitsmaßnahmen und dem Umgang mit Papieroriginalen.

Für Unternehmen ohne dauerhaft besetztes Büro kann eine professionelle Geschäftsadresse mit digitaler Postbereitstellung die Verwaltung vereinfachen. Ob die konkrete Umsetzung die datenschutzrechtlichen Anforderungen des jeweiligen Unternehmens erfüllt, hängt jedoch von den vereinbarten Abläufen, Verantwortlichkeiten und Schutzmaßnahmen ab. Bei besonderen Datenkategorien oder komplexen Konzern- und Zugriffsstrukturen ist eine fachkundige Datenschutzprüfung sinnvoll.

Zur Abgrenzung ist der Glossarbegriff Dokumentenmanagement hilfreich.

Praxisbeispiele finden sich im Ratgeber „Vorteile der digitalen Postverwaltung“.